مخاطر تراخيص المصادر المفتوحة هي المخاطر القانونية والتجارية الناشئة عن برمجيات تتضمن مكوّنات مفتوحة المصدر بموجب تراخيص قد لا تتوافق شروطها، أي التزامات الحقوق المتروكة ومتطلبات الإسناد وبنود الإنهاء المتعلقة بالبراءات وقيود الاستخدام التجاري، مع طريقة نشر المؤسسة للبرمجية، أو قد تفرض على الشيفرة المملوكة للمورّد التزامات لم يُفصح عنها المورّد. وقد زاد اعتماد SBOM من الرؤية على مكوّنات المصادر المفتوحة المدرجة في برمجيات الموردين. وتتطلب إدارة مخاطر التراخيص فهم ليس فقط المكوّنات الموجودة، بل أيضًا الالتزامات التي تفرضها تراخيصها في سياق النشر المحدد.
طيف الحقوق المتروكة (copyleft) هو الإطار المفاهيمي. إذ تتراوح تراخيص المصادر المفتوحة بين التراخيص المتساهلة، مثل MIT وApache 2.0 وBSD، التي تفرض التزامات ضئيلة (عادةً الإسناد فقط)، والتراخيص ذات الحقوق المتروكة القوية، مثل GPL-3.0 وAGPL-3.0، التي تشترط توزيع أي برمجية تتضمن مكوّنات مرخّصة بالحقوق المتروكة بموجب ترخيص الحقوق المتروكة نفسه. ويُعد AGPL-3.0 أقوى أشكال الحقوق المتروكة لأنه يمد التزام الحقوق المتروكة إلى خدمات الشبكة، إذ تُعد البرمجية المستخدمة عبر شبكة موزَّعة لأغراض AGPL، مما يفعّل اشتراط الإفصاح عن الشيفرة المصدرية. وبالنسبة إلى مورّد تتضمن برمجياته المملوكة مكوّنات مرخّصة بـ AGPL وتُقدَّم كخدمة شبكية، فإن أحكام الحقوق المتروكة في AGPL قد تستلزم الإفصاح عن الشيفرة المصدرية المملوكة.
مشكلة توافق التراخيص هي البُعد التقني. فتراخيص المصادر المفتوحة المختلفة تتوافق أو تتعارض فيما بينها بطرق تحدد ما إذا كان منتج برمجي يجمع مكوّنات بموجب تراخيص متعددة متسقًا من الناحية القانونية. فالجمع بين مكوّنات مرخّصة بـ GPL-2.0 وGPL-3.0 في ملف تنفيذي واحد يخلق تعارضًا، ويحل بند «أو أي إصدار لاحق» في GPL-2.0 هذا التعارض، لكن ليست كل البرمجيات المرخّصة بـ GPL-2.0 تتضمنه. والجمع بين Apache 2.0 وGPL-2.0 يخلق تعارضًا لأن Apache 2.0 يتضمن بند إنهاء متعلقًا بالبراءات لا يتوافق مع متطلبات GPL-2.0. وتحليل توافق التراخيص مهمة قانونية متخصصة لا تستطيع معظم فرق TPRM أداءها دون مستشار قانوني.
لماذا يهم هذا
تكتسب مخاطر تراخيص المصادر المفتوحة أهميتها بالنسبة إلى TPRM لأن البرمجيات التي تنشرها مؤسستك قد تفرض التزامات قانونية لم تحددها المؤسسة أو المورّد، وهي التزامات قد تنشأ بعد النشر عند تقييم الآثار القانونية لتركيبة من التراخيص. ويمكن أن تشمل هذه الالتزامات اشتراطات الإفصاح عن الشيفرة المصدرية، والتزامات الإتاوات، وأحكام إنهاء الترخيص التي تمس حق المؤسسة في مواصلة استخدام البرمجية.
- لم تُقيَّم مخاطر التراخيص إلى جانب الوظائف والأمن
- لم تُحدَّد مكوّنات AGPL ومكوّنات الحقوق المتروكة القوية في برمجيات المورّد
- لم يُطبَّق سياق النشر كخدمة شبكية في تحليل الحقوق المتروكة لـ AGPL
- لم يُقيَّم توافق التراخيص لتركيبات المكوّنات
- استخدام SBOM للأمن دون تقييم الامتثال للتراخيص
كيف تبدو الممارسة الجيدة
تُدرج برامج مخاطر التراخيص الناضجة معلومات التراخيص في طلبات SBOM، وتحدد مكوّنات الحقوق المتروكة القوية ومكوّنات AGPL في برمجيات الموردين، وتقيّم توافق التراخيص لتركيبات المكوّنات، وتُجري مراجعة قانونية للبرمجيات التي تتضمن مكوّنات AGPL منشورة كخدمات شبكية.
- معلومات التراخيص في SBOM: تحديد تراخيص جميع المكوّنات
- تحديد مكوّنات الحقوق المتروكة، ولا سيما AGPL في سياق خدمات الشبكة
- تحليل توافق التراخيص لتركيبات المكوّنات
- مراجعة قانونية للبرمجيات المتضمنة لـ AGPL والمنشورة كخدمة شبكية
- إفصاح المورّد عن الامتثال للتراخيص كجزء من تقييم أمن البرمجيات
الأدوات
فحص التراخيص: FOSSA وBlack Duck وSnyk License Compliance لتحليل تراخيص SBOM
يمكن لأدوات فحص تراخيص المصادر المفتوحة تحليل قوائم مكوّنات البرمجيات ومستودعات الشيفرة للحصول على معلومات التراخيص، فتحدد مكوّنات الحقوق المتروكة، وترصد مشكلات توافق التراخيص، وتُنشئ تقارير الامتثال للتراخيص. ويوفر FOSSA وBlack Duck تحليلًا لمخاطر التراخيص على مستوى المؤسسات. وبالنسبة إلى ممارسي TPRM، فإن طلب نتائج فحص التراخيص إلى جانب نتائج فحص الثغرات في SBOM يوفر صورة كاملة لمخاطر المصادر المفتوحة.
تحديات الحوكمة
يتمثل تحدي الحوكمة في مخاطر تراخيص المصادر المفتوحة في اشتراط الخبرة القانونية. فتحليل مخاطر التراخيص، ولا سيما تحليل الحقوق المتروكة في AGPL وتحليل توافق التراخيص، يتطلب خبرة قانونية لا تملكها معظم فرق TPRM وفرق الأمن. ويكمن حل الحوكمة في إدراج مخاطر التراخيص في تقييم برمجيات الموردين، وإحالة مكوّنات الحقوق المتروكة المحددة إلى المستشار القانوني لتقييم آثارها.
- اطلب معلومات التراخيص في SBOM
- حدّد مكوّنات AGPL ومكوّنات الحقوق المتروكة القوية في برمجيات المورّد
- أحِل نتائج AGPL إلى المستشار القانوني لتحليل آثار النشر كخدمة شبكية
- أدرج الامتثال للتراخيص في عقد المورّد: ضمانات من المورّد بشأن التزامات التراخيص
- طبّق فحص التراخيص على البرمجيات المقدمة من الموردين إلى جانب فحص الثغرات
إذا كنت فريقًا صغيرًا
عندما تتسلم SBOM من مورّد في المرة القادمة، مرّره عبر الفئة المجانية من FOSSA أو أداة مكافئة لفحص التراخيص. يستغرق الفحص دقائق ويُنتج تصنيفًا لتراخيص جميع المكوّنات المدرجة، محددًا أي مكوّنات AGPL أو GPL أو غيرها من مكوّنات الحقوق المتروكة القوية. وبالنسبة إلى أي مكوّنات AGPL، أحِلها للمراجعة القانونية إذا كانت البرمجية منشورة كخدمة شبكية. فذلك الفحص الذي يستغرق خمس عشرة دقيقة يمنع المراجعة القانونية التي استمرت ستة أشهر والتي مرت بها المؤسسة في المثال الافتتاحي.
- مرّر SBOM الخاص بالمورّد عبر أداة فحص التراخيص
- حدّد مكوّنات AGPL ومكوّنات الحقوق المتروكة القوية
- أحِل مكوّنات AGPL للمراجعة القانونية في حالات النشر كخدمة شبكية
- أدرج ضمان الامتثال للتراخيص في عقود الموردين
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل تتضمن برمجياتكم أي مكوّنات مرخّصة بموجب AGPL-3.0 أو تراخيص أخرى ذات حقوق متروكة قوية، وهل أجريتم مراجعة قانونية لالتزاماتكم بالامتثال للتراخيص، ولا سيما فيما يخص حكم خدمات الشبكة في AGPL إذا كانت برمجياتكم تُقدَّم كخدمة؟»
ما تتوقعه دليلًا
- SBOM يتضمن معلومات التراخيص لجميع المكوّنات
- نتائج فحص التراخيص التي تحدد مكوّنات الحقوق المتروكة
- تقييم الامتثال القانوني لمكوّنات AGPL ومكوّنات الحقوق المتروكة القوية
- ضمان الامتثال للتراخيص في اتفاقية المورّد
المورّد الذي يقدم SBOM ينبغي أن يُطلب منه معلومات التراخيص إلى جانب بيانات الثغرات. ففحوص الثغرات في SBOM تتناول المخاطر الأمنية. ومعلومات التراخيص تتناول المخاطر القانونية. وكلاهما مطلوب لإدارة مخاطر المصادر المفتوحة إدارة كاملة.
كيف تُثبت ذلك
- سجلات فحص التراخيص لبرمجيات المورّد
- تحديد مكوّنات الحقوق المتروكة
- سجلات المراجعة القانونية لمكوّنات AGPL
- وثائق ضمان الامتثال للتراخيص
الخلاصة الرئيسية
نُشرت منصة التحليلات. مكوّن AGPL: لم يُفصح عنه ولم يُسأل عنه. اكتُشف: بعد 18 شهرًا، على يد الفريق القانوني. التزام AGPL المحتمل: الإفصاح عن الشيفرة المصدرية المملوكة بسبب النشر كخدمة شبكية. المراجعة القانونية: 6 أشهر. مخاطر التراخيص مخاطر قانونية قائمة منذ اليوم الأول للنشر. فمكوّنات AGPL في البرمجيات المقدمة كخدمة شبكية قد تفعّل التزامات الإفصاح عن الشيفرة المصدرية التي تنطبق على الشيفرة المملوكة للمورّد. ويكشفها فحص التراخيص في دقائق. وتقيّم المراجعة القانونية آثارها. ويحدث كلاهما قبل النشر، لا بعده بثمانية عشر شهرًا. وSBOM دون معلومات التراخيص يعني رؤية أمنية دون رؤية للمخاطر القانونية.